- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

PKI, nur ein Teil des Puzzles


Wie Hersteller einen IoT-Botnet-Angriff verhindern können
Die Wurzel des Übels sind schlechte Authentifizierungspraktiken

- Anzeigen -





Wir haben uns in diesem Jahr bereits mit der Bedrohung durch sogenannte Thingbots beschäftigt – also Bot-Netzen, die aus Zombie-IoT-Geräten bestehen. In jüngster Zeit hatten wir dann Gelegenheit zu beobachten, dass und wie dieses Bedrohungsszenario inzwischen Realität geworden ist. Thingbots wurden bei raffinierten DDoS-Angriffen auf die Seite des Journalisten und IT-Sicherheitsbloggers Brian Krebs, KrebsOnSecurity, und beim DNS-Anbieter Dyn eingesetzt. Letzterer führte dazu, dass Nutzer auf einige der am häufigsten besuchten Websites nicht mehr zugreifen konnten.

Wie aber werden aus "unschuldigen" Dingen Thingbots?
Nehmen wir das Mirai-Botnet, verantwortlich für die beiden oben genannten Attacken, als Beispiel dafür, wie Thingbots funktionieren. Mirai umfasst derzeit weltweit rund 500.000 kompromittierte IoT-Geräte wie Überwachungskameras, Router und digitale Videorekorder [DVRs]). Dabei scannt Mirai kontinuierlich auf Schwachstellen und richtet sich gegen Geräte mit häufig verwendeten Standard-Anmeldeinformationen. Man nimmt an, dass mithilfe von Wörterbuchangriffen die anvisierten Geräte in zirka 10 Minuten von Mirai kompromittiert oder übernommen werden können.

Die Wurzel des Übels sind schlechte Authentifizierungspraktiken. Die Standard-Passwörter werden während des Herstellungsprozesses im Gerät hartcodiert. Die Größe des Mirai-Botnets zeigt deutlich, dass, wenn das Gerät einmal in Gebrauch ist, die Standard-Passwörter nicht mehr aktualisiert worden sind. Das macht sie anfällig von Mirai oder anderen Bot-Netz-Typen ausgenutzt zu werden.

Bot-Netze verhindern: Best Practices für Gerätehersteller
Werfen wir einen Blick auf einige Best Practices, die Hersteller in Betracht ziehen sollten, um ihre Geräte von Anfang an davor zu schützen, Teil eines Thingbots zu werden.

Prüfen Sie die Funktionen der Geräte. Brauchen sie tatsächlich einen Remote-Zugang und müssen sich die Geräte wirklich remote verwalten lassen? Oder kann man diese Authentifizierung innerhalb der Geräteumgebung eliminieren? Damit wäre dann wenigstens das Schlupfloch geschlossen, das Mirai derzeit benutzt um auf Geräte zuzugreifen und sie anschließend zu übernehmen. Wenn man unbedingt einen Remote-Zugang braucht oder verwenden will, sollte man grundsätzlich starke Geräteauthentifizierung verwenden.

Mirai macht sich nicht ohne Grund den anfälligsten Teil von Geräte-Passwörtern zunutze. Standard-Passwörter werden nicht nur selten geändert, sie sind auch selten einzigartig. Oftmals werden sie für zahlreiche Geräte wiederverwendet.

OWASP hat einige grundlegende Tipps zur Passwortrichtlinie für IoT-Gerätehersteller zusammengestellt, die helfen derartige Angriffe in Zukunft zu verhindern. Empfehlenswert ist es allerdings über das Passwort hinaus starke Authentifizierungsmethoden zu erwägen.

PKI beispielsweise bietet einige Vorteile für eine starke Geräteauthentifizierung. Strukturell ist eine Public Key Infrastructure so angelegt, dass es technisch schwierig bis unmöglich ist, sie zu täuschen. Verwendet man PKI als Teil des Authentifizierungsprozesses, verhindert das Wörterbuch-basierte Angriffe, wie im Fall des Mirai-Botnets.

Mit PKI hat man außerdem die Möglichkeit, eindeutige Anmeldeinformationen zur Authentifizierung für die jeweiligen Entitäten (sowohl Geräte als auch Dienste) zu verwenden. Zum Zeitpunkt des Gerätebaus ist es besser eindeutige Authentifizierungsanmeldeinformationen pro Gerät aufzunehmen statt gemeinsamer oder häufiger Anmeldeinformationen für eine Reihe von Geräten. Noch besser ist es, Hardware-basierte Sicherheitselemente einzusetzen, um die privaten Schlüssel auf den Geräten zu schützen und zu verhindern, dass die Anmeldeinformationen von den Geräten selbst gestohlen oder abgezogen werden.

Erwägen Sie starke Authentifizierung für administrative Benutzer und Dienste
Wenn Sie das Einloggen in das Gerät selbst für administrative Zwecke - entweder für Benutzer oder Dienste - aktivieren wollen, müssen Sie auch hier stärkere Authentifizierungsmethoden verwenden wie beispielsweise ein PKI-basiertes Vertrauensmodell.

Hierbei erhalten die Geräte schon bei der Produktion oder der Bereitstellung einen Trust Anchor (einem Basisschlüssel) von einer Zertifizierungsstelle. Dazu kommen unter Umständen weitere Authentifizierungsregeln, wie etwa zu erwartende Domains von vertrauenswürdigen Servern. Auf diese Weise nutzen Geräte stärkere Authentifizierungsmethoden beim Ausführen von Diensten als nur Benutzernamen und Passwort.

Autorisierte Software- und Firmwareupdates sicherstellen
Als zusätzliche Sicherheitsebene sollten Geräte mit einer Logik konfiguriert werden, die Softwareupdates verifiziert, die von einem bestimmten Dienst geschickt werden. Das trägt dazu bei nur vertrauenswürdige Software zu installieren und keine Malware wie es beim Dyn-Angriff der Fall war. Die Validierungslogik basiert ebenfalls auf Trust Anchors oder Roots. Sie wird dann bereits während des Herstellungsprozesses auf dem Gerät bereitgestellt und verifiziert vor der Ausführung oder Installation ob eine Software vertrauenswürdig ist oder nicht.

Dazu muss es auf dem Gerät selbst eine Möglichkeit geben, Trusted Roots so zu verwenden. Ein weiterer Bereich, in dem man auf PKI zurückgreifen kann. Etwa in dem man signierten Code verwendet, der an die Identität des Entwicklers gebunden ist. Die im digitalen Zertifikat repräsentierte digitale Signatur und Identität werden dann vor der Ausführung verifiziert. So lässt sich z. B. festlegen, dass nur Software der Firma XYZ, die mit einem bestimmten Zertifikatstyp signiert ist, installiert wird.

PKI, nur ein Teil des Puzzles
IoT-Sicherheit ist für jeden Gerätehersteller ein immens wichtiges Thema. Es gibt viele praktikable Ansätze, Angriffe wie solche über das Mirai-Bot-Netz zu verhindern. Wir haben uns an dieser Stelle nur mit einem Teilaspekt beschäftigt. Der Umfang der gewählten Lösung hängt von der Art des Risikoprofils ab und den Strategien des Unternehmens es zu senken. Es existiert aber bereits eine recht gut etablierte Basis von Mindestanforderungen, die IoT-Anbieter umsetzen sollten. Tipps dazu liefern OWASP, OTA und Underwriters Lab. (GlobalSign: ra)

eingetragen: 22.12.16
Home & Newsletterlauf: 24.01.17


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Vorhandene Sicherheitseinstellungen aktivieren

    Oft findet der Router erst dann Beachtung, wenn das WLAN nicht funktioniert. Beim Schutz ihrer Geräte vor Hackern und Malware wird das Gerät hingegen häufig vergessen. Denn was Sicherheitseinstellungen betrifft, bekommen Heimanwender nicht immer ein Rundum-Sorglos-Paket mitgeliefert. Ungeschützt kann ein Router Angreifern Tür und Tor öffnen. Dabei tragen schon einige Maßnahmen dazu bei, die Sicherheit des Heimnetzwerks enorm zu verbessern. Eset gibt Tipps, wie Nutzer ihren Router sichern und so ihre Geräte und persönliche Daten noch besser schützen können.

  • Ransomware & Sicherheit am Arbeitsplatz

    Aufgrund der fortschreitenden Digitalisierung ändert sich auch die Arbeitsweise in Unternehmen. Mobile Geräte wie Smartphones und Tablets gehören längst zum beruflichen Alltag. Hacker passen ihre Vorgehensweise an diese moderne Arbeitsweise an. Mit gezielten Cyberattacken sind sie zunehmend in der Lage, herkömmliche Schutzsysteme zu umgehen. Stormshield informiert auf seinem Unternehmensblog über die perfiden Maschen der Angreifer und gibt nützliche Tipps zur Abwehr von betrügerischer Schadsoftware (Malware).

  • Fake-Profile und Schadsoftware

    Wer auf einen Treffer von Amors Pfeil wartet, sucht sein Glück inzwischen oft online, insbesondere bei Dating-Apps. Nicht umsonst gilt LOVOO als die aktuell erfolgreichste iPhone-App in Deutschland. Laut Bitkom nutzen rund 47 Prozent der Deutschen ihr Smartphone für den Onlineflirt, 42 Prozent ihr Tablet und immerhin noch 34 Prozent suchen mit dem Laptop nach einem potentiellen Partner. Doch beim heißen Online-Flirt gibt es einiges zu beachten, damit die Partnersuche so sicher wie möglich verläuft. Eset gibt Tipps, damit aus der vermeintlichen großen Liebe keine böse Überraschung wird.

  • Gezielte Lobbyarbeit der Elektrobranche?

    "Müssen wir Brandschutzschalter im RZ installieren und/oder nachrüsten? Wie viele und an welchen Stellen?" Diese Frage stellen sich mehr und mehr Rechenzentrumsbetreiber und -verantwortliche, die durch den zurzeit zu beobachtenden Hype rund um diese Sicherheitstechnik verunsichert sind. Die Antwort der von zur Mühlen'sche Sicherheitsberatung aus Bonn (kurz: VZM) lautet: in zwingender Weise KEINE.

  • Was macht Cybersecurity so kompliziert?

    Spätestens nach den jüngsten Schwachstellen Spectre und Meltdown weiß jeder, dass das Thema Cybersecurity nie an Präsenz verliert und jeden betrifft. Dies gilt nicht nur für Unternehmen, sondern auch für Privatanwender: Cyberkriminelle erfassen Passwörter noch während des Tippens, installieren Malware und fangen so sämtliche Daten unbemerkt ab. Oder sie spähen über Browserdaten Kreditkartendaten und Logins aus. Doch was macht Cybersecurity so kompliziert? Im Falle von Spectre und Meltdown handelt es sich zwar um Schwachstellen in Prozessoren. Doch in vielen anderen Fällen verstehen User die komplexen Methoden, die Kriminelle anwenden, um an geschäftskritische Daten zu gelangen. Sie tendieren jedoch dazu, das tatsächliche Risiko von Angriffen herunterzuspielen. Es ist ein ewiger Kreislauf: Der Endanwender fühlt sich durch die IT-Vorrichtungen geschützt und der IT-Verantwortliche schätzt den User als wachsamer und vorsichtiger ein, als er tatsächlich ist.